是一篇 2017 年的文章，前幾天在 Hacker News 上重新被提出來：「The Line of Death (2017) (textslashplain.com)」。
文章開頭在講瀏覽器 UI 的信任區，這條線以上是 native UI，以下是網站可以任意操控的內容：
所以 UI 上面有些小細節讓你區分，但這其實對不是專精 phishing 的人很不友善：
另外當然就會提到 browser-in-a-browser (以及 picture-in-picture) 類的 phishing 了：
另外提到了 Fullscreen API，這使得信任區間變成 0：
提到 Fullscreen API 所以就去翻資料，意外發現 IE11 居然支援這組 API，雖然是帶 ms 的 prefix，而且不支援一些輔助性的功能 (像是傳回 Promise object)。
這些 UI 與 security 類的問題，主要還是得考慮到使用者未必那麼熟悉，以及就算有經驗的人也很有可能不小心中獎...